AWS Identity and Access Management (IAM)

AWS Identity and Access Management (IAM) について

IAM コネクタは、ユーザー、ロール、グループ、ポリシー、アクセスキー、MFA デバイス、認証情報レポートのインベントリを作成します。これらはアクセスレビューのエビデンスに使用される機密性の高いデータです。この連携では sts:AssumeRole を使用します。最も簡単なのは IAMReadOnlyAccess ですが、以下のインライン JSON では Get* / List* と GenerateCredentialReport / GenerateServiceLastAccessedDetails に範囲を限定しています。 クロスアカウントロールの ARN はインフラストラクチャのシークレットと同様に扱い、信頼関係を編集できるユーザーを制限してください。

仕組み

Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの IAM データを読み取るには、ウィザードの External ID で保護された状態で Iru のプリンシパルが sts:AssumeRole を呼び出すことを許可する信頼ポリシーと、IAM リソースへの読み取り専用アクセスを付与する権限ポリシー（例: IAMReadOnlyAccess または AWS タブの範囲を限定したインライン JSON）を持つ IAM ロールを作成します。その後、そのロールの ARN を Iru に貼り付けます。IAMReadOnlyAccess は設計上、ID、ポリシードキュメント、アクセスキーのメタデータを公開するため、ロールとその ARN は機密情報として扱ってください。

項目	値
カテゴリ	セキュリティ
認証	クロスアカウント IAM ロール

前提条件

エビデンスを取得する IAM プレーンと同じアカウントにおける IAM 管理者権限。

AWS IAM を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS IAM をオンにする

AWS IAM を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。ウィザードに表示されるフィールドに Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS IAM カードが有効になっていることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

AWS で IAM ロールを作成する

ロール作成ワークフローを開始する

IAM データが必要なアカウントで、IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620（または Iru に表示されるアカウント ID）を入力します。Require external ID を有効にし、Iru からコピーした値を貼り付けます。

読み取り専用の IAM 権限をアタッチする

IAMReadOnlyAccess をアタッチするか、マネージドポリシーを使用できない場合は次のインラインポリシーを追加します。以下の JSON は例です。セキュリティチームの要件に応じてアクションを絞り込んでください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:Get*",
        "iam:List*",
        "iam:GenerateCredentialReport",
        "iam:GenerateServiceLastAccessedDetails"
      ],
      "Resource": "*"
    }
  ]
}

ロールに名前を付けて ARN をコピーする

ロールに名前を付け（例: IruIAMReadOnly）、作成して、ロールの概要から Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

信頼関係を確認する

Trust relationships で、JSON が Iru のウィザードと完全に一致していることを確認します。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します（Iru でロール ARN を送信する）。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。

認証情報レポートが空になる

コンソールまたは CLI から GenerateCredentialReport を一度手動で実行してください。

ID が表示されない

ワイルドカードが、想定する各リソースタイプの Get* / List* をカバーしている必要があります。

考慮事項

IAM はアカウント内でグローバルなため、1 回のスキャンで…

IAM はアカウント内でグローバルです。1 回のスキャンで、すべてのリージョンの IAM API がカバーされます。

Sources の管理

すべての Compliance ソースを参照・管理します。

Compliance の利用を開始する

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

AWS Identity and Access Management (IAM)